1. 机器安全工程导论
机器安全工程的目标，不是让设备“尽量不出事”，而是把风险降低到可接受水平，并使这种降低在可验证、可维护、可追溯的工程框架内持续成立。它同时涉及机械本体、电气控制、液压气动、操作方式与人员行为，因此不能只靠加装防护罩或依赖操作员谨慎来解决问题。Rockwell 安全 PLC 在其中扮演的角色，是把安全功能从普通逻辑中独立出来，用经过认证的硬件与软件实现急停、安全门、光幕、安全速度等关键控制，并让这些功能具备确定的故障响应能力。
一、机械危害类型：先识别“能量如何到达人”
机械危害通常按能量形式与接触方式分类。最常见的包括：挤压（如冲压机滑块与下模之间）、剪切（剪板机刀口）、切割或刺穿（旋转刀具、锯片）、缠绕（联轴器、滚筒）、卷入（皮带与带轮）、碰撞或撞击（机器人手臂、移动机构）、抛射（工件或刀具碎片飞出）、高压流体喷射（液压软管破裂）、以及电气与热危害。识别危害时，关键不是背分类，而是追问三个问题：能量源是什么？在什么工况下释放？人员身体的哪个部位、以什么路径可能进入危险区？
以一台典型的气动压装机为例。其危险能量包括：气缸下压的机械能、模具闭合的挤压能、气路残压、以及电气驱动能。若仅安装一个固定防护罩，换模或调试时仍需开门，此时人员手部可能进入模具区。因此危害识别必须覆盖“正常生产、换型、调试、清洁、维修”五种工况，而不是只看自动运行状态。
二、风险评估流程：从限制条件到剩余风险
风险评估不是一次性文档，而是一个迭代闭环。第一步是确定机器限制：用途、空间、寿命、可预见的误用。第二步识别危害与危险状态，建议按“任务—危害”矩阵展开，例如“换模时手进入模具区”对应挤压危害。第三步估计风险，常用参数包括伤害严重度 S（S1 轻微、S2 严重）、暴露频率 F（F1 较少、F2 频繁）、避免可能性 P（P1 可能、P2 几乎不可能）。第四步评价风险是否可接受，若不可接受则进入第五步降低风险。
降低风险遵循“三步法”优先级：首先通过设计消除或减小危害（如降低合模力、减小行程），其次采用安全防护与安全控制（防护罩、联锁、安全 PLC 逻辑），最后才是警示标识与培训。第六步验证并记录剩余风险。需要强调的是，安全 PLC 属于第二步中的“安全控制”手段，它不能替代本质安全设计，也不能弥补防护罩缺失。
三、安全相关控制系统：与普通控制的本质区别
普通控制系统追求可用性、响应速度和成本；安全相关控制系统追求的是“故障时仍能保持安全功能”。其核心特征包括：冗余与多样性（如双通道输入、交叉监控）、诊断覆盖率（能检测出多少比例的危险失效）、以及确定的故障响应（一旦检测到故障，立即导向安全状态，如切断输出、停止运动）。安全功能通常用性能等级 PL 或安全完整性等级 SIL 来量化，PL d 或 PL e 是机器安全中常见的目标。
以急停回路为例。普通 PLC 若输出点粘连，急停按下后接触器可能仍得电。安全 PLC 则通过双通道输入读取急停信号，在安全任务中做一致性比较，并驱动双通道安全输出。若两通道状态不一致超过设定时间，系统判定为故障并切断输出。这一过程不依赖标准任务，也不受普通程序下载或修改的影响。
四、Rockwell 安全 PLC 在机器安全中的定位
Rockwell 的安全 PLC 产品线主要包括 GuardLogix 与 Compact GuardLogix 控制器，配合安全 I/O、安全变频器与安全运动模块使用。它在系统中的定位可以概括为三点：第一，作为安全逻辑的集中执行平台，替代大量分散的安全继电器，简化接线与故障排查；第二，通过 Studio 5000 Logix Designer 中的安全任务与安全标签，实现安全逻辑与标准逻辑在同一项目内但相互隔离；第三，支持安全运动与安全速度监控，使机器在维护模式下仍能保持安全受限运动，而不是简单断电。
实际选型时，需要先确定安全功能清单与目标 PL，再核算所需安全 I/O 点数、响应时间与网络架构。例如，一台有 6 个安全门、2 个急停、1 个光幕的包装机，若目标为 PL d，可选用 Compact GuardLogix 控制器加安全 I/O 模块，通过 EtherNet/IP CIP Safety 连接远程安全站点。安全任务周期通常设置为 10～20 ms，需确保从输入变化到输出切断的总响应时间满足安全距离要求。